Security Awareness einfach erklärt
Viele Angriffe beginnen nicht mit einer technischen Lücke, sondern mit einer Nachricht oder einem Anruf an einen Menschen. Eine gefälschte Rechnung, ein Anrufer, der sich als Techniker ausgibt, oder eine Zahlungsanweisung im Namen der Chefin zielen darauf, dass jemand klickt, etwas verrät oder überweist. Security Awareness setzt genau dort an.
Gemeint ist dabei mehr als eine jährliche Pflichtschulung. Wer eine Masche kennt, aber keine Ansprechperson für Zweifelsfälle hat oder sich nicht traut, die Chefin zurückzurufen, kann im Ernstfall trotzdem falsch handeln. Sensibilisierung verbindet deshalb Kenntnisse über aktuelle Tricks mit klaren Abläufen und der ausdrücklichen Erlaubnis zur Rückfrage.
Welche Themen dazugehören
Die Inhalte richten sich nach dem, womit Ihr Team tatsächlich zu tun hat. Typische Bausteine sind:
- Betrügerische Nachrichten: Phishing per E-Mail, SMS und Messenger, gefälschte Anmeldeseiten, präparierte Anhänge.
- Manipulation am Telefon und vor Ort: die Methoden des Social Engineering, vom falschen Support-Anruf bis zum unbekannten Besucher.
- Zahlungsbetrug: gefälschte Chef-Anweisungen beim CEO-Fraud und angeblich geänderte Bankverbindungen von Lieferanten.
- Zugänge: starke Passwörter, die Multi-Faktor-Authentifizierung und der Umgang mit unerwarteten Bestätigungsanfragen.
- Arbeiten außerhalb des Büros: Telefonate über Kundendaten in der Bahn, fremde Ladekabel und Datenträger, Firmennotebooks im Auto.
Mit künstlicher Intelligenz werden Täuschungen glaubwürdiger. Das BSI hält deshalb in seiner Sicherheitsinformation zu KI und Cybersicherheit (22. Juni 2026) eine konkrete Sensibilisierung für Social Engineering in der eigenen Organisation für notwendig. Ausdrücklich erwähnt es Videoanrufe mit Deepfakes und Telefonate mit KI-erzeugten Stimmen (Stand: Oktober 2026).
Was ein wirksames Programm auszeichnet
Einen guten Rahmen liefert das BSI mit dem Baustein ORP.3 „Sensibilisierung und Schulung zur Informationssicherheit“ aus seinem Grundschutz-Kompendium, Edition 2023. Für kleinere und mittlere Betriebe ergeben sich daraus vier Grundsätze:
- Die Leitung geht voran: Die Geschäftsführung unterstützt die Maßnahmen sichtbar und hält sich selbst an die Regeln, auch an die Rückfrage bei Zahlungen.
- Einweisung für alle: Jede Person, die mit der IT arbeitet, auch externe Kräfte, wird in den sicheren Umgang mit den Systemen eingewiesen, die sie tatsächlich nutzt. Für neue Kolleginnen und Kollegen bieten sich dafür die ersten Arbeitstage an.
- Passend zur Zielgruppe: Wer Rechnungen bezahlt, braucht andere Beispiele als die Werkstatt oder der Außendienst. Bei erhöhtem Schutzbedarf sieht das BSI für besonders gefährdete Personen zusätzlich vertiefende Schulungen vor.
- Wirkung prüfen: Ob die Maßnahmen ankommen, wird regelmäßig gemessen und das Programm danach angepasst.
Kurze Einheiten, etwa eine Viertelstunde im Monat, halten die Themen im Gespräch, statt sie in einem Termin pro Jahr zu bündeln. Mindestens so viel zählt der Umgang mit Fehlern. Wird ein falscher Klick ohne Vorwürfe aufgenommen, spricht die betroffene Person ihn eher an. Dann lässt sich das Passwort ändern, bevor es womöglich jemand benutzt.
Simulierte Angriffe richtig einsetzen
Phishing-Simulationen schicken dem Team realistische, aber harmlose Betrugsmails und werten aus, wie darauf reagiert wird. Sie zeigen, wo Schulungsbedarf besteht, und machen Fortschritte sichtbar.
Damit sie Vertrauen nicht beschädigen, sollte das Programm vorab offen angekündigt werden, ohne den einzelnen Termin zu verraten. Die Ergebnisse werden nach Abteilungen zusammengefasst statt nach Namen. Ein vorhandener Betriebsrat und Ihre Datenschutz-Ansprechperson sind von Beginn an dabei. Werden Daten über das Verhalten Einzelner ausgewertet, kann ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG berührt sein; diese Frage sollte vor dem Start geklärt sein (keine Rechtsberatung).
Wenn unbekannte Anhänge zum Tagesgeschäft gehören
Angenommen, eine Spedition mit 40 Mitarbeitenden schult ihr Team bisher nach dem Grundsatz „keine Anhänge von Unbekannten öffnen“. In der Disposition hilft das wenig: Dort kommen täglich Frachtaufträge, Lieferscheine und Zollpapiere von Absendern, mit denen noch nie jemand zu tun hatte.
Die Sensibilisierung wird deshalb auf die Abteilung zugeschnitten. Die Disponentinnen und Disponenten lernen, welche Dateiformate in ihrem Ablauf normal sind und welche nicht, etwa Archive mit Kennwort oder Dokumente, die das Aktivieren von Inhalten verlangen. Für Zweifelsfälle gibt es eine feste Ansprechperson. Die Buchhaltung übt dagegen die Rückfrage bei geänderten Bankdaten.
Wie ProNet unterstützt
Eine Grundsensibilisierung gehört bei uns zur Betreuung. Ihre Mitarbeitenden lernen dabei typische Betrugsmaschen per Mail und Telefon kennen und erfahren, auf welchem Weg sie einen Verdacht weitergeben. Beim Einrichten der E-Mail-Sicherheit für Unternehmen gibt es dazu eine kurze Einweisung. Welche technischen Schutzmaßnahmen das Verhalten ergänzen, zeigt unsere Seite IT-Sicherheit für Unternehmen. Phishing-Simulationen und umfangreichere Kampagnen übernimmt unser Partner für offensive IT-Sicherheit: Awareness-Schulungen und Phishing-Simulationen von Rootsektor (externe Website).